Frage zum Thema Virtualbox und IP Adressen für den Gast

M

M. Zink

New Member
Ich bin dabei zu testen auf einem Webserver zusätzlich zu Debian noch einen Windows Server 2008 aufzusetzen. Dieser soll später für Exchange da sein. Ich bin jetzt auch soweit den Server installieren zu können und bekomme das ganze auch soweit ans Laufen. Mir kam jetzt nur der Gedanke das ich eine Sache nicht bedacht hab.

Der Webserver hat auch einen Postfix und dient somit auch als MX. Heißt die Domains von mir und meinen Kunden laufen alle über diesen Server, auch Mailseitig. Wenn ich nun einen Exchange aufsetze möchte ich ja nicht das dieser grundsätzlich alle Mails behandelt sondern nur eine einzige Domain. Da aber der Exchange ebenfalls über Port 25 und 110 usw. arbeitet könnte das zu einem Problem führen.

Jetzt war meine Idee da ich bei Hetzner die Möglichkeit hab zusätzliche IP's zu bekommen dem Exchange eine eigene IP zu geben. Nur wie läuft das von der Konfiguration, da der Host ja nur eine Netzwerkkarte hat und diese bereits auf eine IP konfiguriert ist.
 
M

M. Zink

New Member
OK das mit mehreren IP's auf eine Netzwerkkarte verstehe ich noch. Aber das ändert doch nichts an meinem Problem oder? Ich beschreibe es mal ein wenig detailierter.

Hostsystem (Debian Lenny als Webserver inkl. Mail, Apache, MySQL...)
Mails an div. Domains werden von dem Server aufgenommen. Die Domains haben alle einen MX Eintrag der auf die momentane IP des Servers leitet. Der Server nimmt die Mails in Empfang und verteilt sie entsprechend an die Domains und Postfächer.

Gastsystem (Windows Server 2008 mit Exchange)
Das Gastsystem soll mittels Pop Connector die Mails von einer speziellen Domain vom Webserver, also dem Hostsystem, abholen. Dies macht er durch die Netzwerkbrücke nicht intern zwischen Host und Gast sondern quasie wie als würde er irgendwo anders stehn und würde einfach zu dem Host verbinden. Das passiert allerdings nun auf den gleichen Ports wo normal der Host drüber arbeitet.

Heißt ich hab auf einer IP sowohl eingehend als auch ausgehend die gleiche verbindung und gehe einfach davon aus, dass das nicht funktionieren kann. Außer ich hab einen Denkfehler.

Deshalb war meine Idee eine gesonderte IP zu verwenden die zwar rein physikalisch über die gleiche Netzwerkkarte läuft aber die Softwareseitig getrennt ist. Heißt wenn eine Anfrage an IP 1 kommt soll der Host reagieren und bei einer Anfrage an IP 2 soll der Gast los legen. Am allerliebsten natürlich auch noch so, dass ich per Firewall oder sonstigem festlegen kann, dass der Gast alle Ports geschlossen hat bis auf die die zwingend nötig sind.
 
F

F4RR3LL

Active Member
Was Du da beschreibst ist technisch eigentlich kein Problem.
Jedoch macht man das eigentlich ein bissl anders.
Aber ich fang mal vorn an.
Du hast auf jeder IP die alle an die gleiche Netzwerkkarte gebunden sein können alle Ports zur Verfügung. Du könntest also mit 20 Gastsystemen und 20 IPs 20 Mailserver betreiben und zusätzlich auf dem Host mit IP 21 einen weiteren. Das ist kein Problem. Um das ganze zu Routen gibts verschiedene Möglichkeiten.
Die meistgenutzten sind das Bridgen oder NAT.
Sinnvoller ist idr Bridgen zu verwenden. Ports sperrst du dann immer in dem jeweiligen Gastsystem. Bei NAT Routing könntest Du auch vom Host aus gleich sagen das Gast 1 nur angesprochen werden darf auf port 25 110 usw. Ebenso kannst du dort ausgehende Ports aus dem Host heraus beschränken.

Du beschreibst das du auf dem Hauptsystem Apache SQL Mailserver auf Linuxbasis laufen hast und der Host Windows werden soll.
Besser wäre es das auch das Hostsystem in eine virtualisierte Umgebung zu packen. So das der Host weitestgehend blank ist.

Sonst verlierst du bei einem Angriff auf den Host auch dein Windowssystem.
Was grade bei Apache/Sql/PhP schneller passieren kann als man möchte.
Trennst du es verlierst du maximal eine VM.

Gruß Sven
 
M

M. Zink

New Member
Naja hätte ich vor 6 Monaten gewusst das ich das irgendwann mal so machen möchte dann hätte ich wirklich alles virtualisiert. Aber jetzt würde das bedeuten ich muss die virtuelle Kiste aufbauen und restlos alles wieder umziehen. Und wenn dann was nicht so läuft wie es soll weiß ich nicht wie es weiter geht da ich dann nicht die Zeit hab irgendwas groß zu lesen oder zu suchen sobald das erste Kundenprojekt stehen bleibt rappelt sich mein Telefon tot. Linux Server betreibe ich nun schon fast 10 Jahre aber virtualisiert hab ich das auf einem Online Server noch nie.

Aber irgendwie hab ich physikalisch da irgendwas immer noch nicht so ganz geschnallt. In meinem Server steckt eine Netzwerkkarte die ich als eth0 mit einer IP konfiguriert hab. Nun würde ich eine zweite (und ggf. dritte IP) bestellen damit ich erst den Windows Server und dann den Webserver ggf. doch später mal virtualisieren kann. Ich kann dann ja der einen Netzwerkkarte sagen sie soll zusätzlich auf die zweite und ggf. dritte IP lauschen. Heißt alle Anfragen egal an welche IP von den dreien landen erst mal auf dieser einen Karte. Momentan hat der Host ja einen Postfix und der nimmt die eingehenden Mails in Empfang und sortiert die den einzelnen Postfächern der einzelnen Domains zu. Mein Windows Server würde nun gerne mittels mail.domain.tld auf eine dieser Domains des Host Systems zugreifen und die dort liegenden Mails via Pop Connector in den Exchange abrufen. Bei zwei getrennten Geräten ist es ja so das mein Webserver alles entgegen nimmt und ob ich dann mit Outlook oder mit einem Exchange Server die Mails aus dem Postfach abhole spielt ja keine Rolle. Aber wenn die Kiste virtuell auf dem Host sitzt teilen die sich ja so gesehen eine Netzwerkkarte. Das wiederum bedeutet doch wenn ich dem Gast sage rufe bitte die Mails ab dann stellt der die Anfrage über die virtuelle Netzwerkkarte die gebrückt auf die physikalische läuft und somit auf sich selbst oder? Genau so wenn ich eine Mail über den Exchange verschicke. Wie schnalle der denn dann das er über den Smarthost die Mail an den Host übergeben muss? Also sprich gleichzeitig eine ausgehende und eingehende Verbindung über den gleichen Port auf der gleichen Netzwerkkarte.

Oder hab ich inzwischen so dermaßen einen Knoten im Hirn und schnall da einfach was falsch? Denn das Problem würde sich dann ja auch nicht erledigen wenn beides virtualisiert wäre.

Oder kann ich irgendwie festlegen das zwar beide IP's auf der gleichen Karte laufen aber z.B. der Host nur IP1 beachtet und der Gast nur IP2?
 
M

M. Zink

New Member
OK also laut dem was ich bisher angewendet habe würde ich jetzt zuerst mal unter /etc/network/interfaces die bestehende Netzwerkkarte erweitern.
auto eth1
iface eth1 inet static
address 192.168.178.209
netmask 255.255.255.0
network 192.168.178.0
broadcast 192.168.178.255
gateway 192.168.178.1
auto eth1:1
iface eth1:1 inet static
address 192.168.178.210
netmask 255.255.255.0
network 192.168.178.0
broadcast 192.168.178.255
gateway 192.168.178.1
Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.
So würde das dann aussehen wenn ich das jetzt lokal auf meiner Bastelkiste umsetze (eth1 weil die OnBoard Karte kaputt is).

Der virtuellen Kiste kann ich dann ja festlegen, dass diese die IP 210 am Ende haben soll. Aber jetzt muss ich doch dem Host noch sagen bitte beachte nur 209 aber die 210 reiche einfach durch ohne darauf zu reagieren oder?

Ach ja, zum Thema Sicherheit. Ich denke bei meinem Linux Host hab ich alles getan was in normalem Umfang möglich ist zum Thema Sicherheit. Wäre der Windows Server nicht der wesentlich anfälligere beim Thema Hacken Knacken und sonstiger Unfug? Ist der bei NAT oder Brigde denn so gesehen direkt mit der Außenwelt verbunden oder greifen da trotzdem so Dinge wie Firewall vom Host oder Jailkit usw.? Ich glaube nicht da der Host ja extra gesagt bekommen soll lass die IP2 in ruhe und kümmer dich nur um IP1 oder?
 
F

F4RR3LL

Active Member
So wie du das jetzt in der interfaces drin hast könntest Du nur per nat arbeiten.
Du könntest die ip dann per iptables an die VM leiten.
Das würde Beispielsweise so ausschauen.
Code: 
cat > /etc/network/if-up.d/routing << "EOF"
#!/bin/sh
 
IPTABLES="/sbin/iptables"
 
#loesche alle Regeln
$IPTABLES -t nat --flush
 
# Routing fuer VM
# 10.0.0.1
# damit der VServer nach aussen kommunizieren kann:
$IPTABLES -t nat -A POSTROUTING -s 10.0.0.1 -o eth0 -j SNAT --to $deine_externe_ip
# 10.0.0.1:22 frei schalten fuer SSH Kommunikation
$IPTABLES -t nat -A PREROUTING -p tcp -d $deine_externe_ip --dport 22 -i eth0 -j DNAT --to-destination 10.0.0.1:22
EOF
Beim bridgen schaut das anders aus.
Bridgen mit KVM ist hier ganz nett erklärt. http://wiki.hetzner.de/index.php/KVM_mit_Nutzung_aller_IPs_aus_Subnetz
Insgesamt wirst du um ein bissl einlesen nicht rumkommen.

Bzgl Firewall im Host. Bei NAT wie du oben lesen kannst findet eine gewisse Filterung auf Ports statt wenn man dies möchte. Man kann auch bei NAT einfach alles raus und reinlassen.

Beim Bridgen interessiert den Host eigentlich nicht was da ankommt.

Bzgl dem Absichern. Wenn auf dem Host nur der Kernel rennt und ein SSH Zugang ist es nunmal ungleich sicherer als deine geplante config.

Und ich würde auch nicht sagen das Win angreifbarer ist. Das relativiert sich aufgrund Admin / Config / laufende Dienste etc.
 
Zuletzt bearbeitet:
B

Burge

Member
Ich empfehle dir noch immer auf ESXi zuwechseln gerade bei hetzner bietet sich das sowas von an.

64 bit windows ist dann auch keine Problem.
 
M

M. Zink

New Member
Wie gesagt wenn der Server nicht voll benutzt werden würde dann würde ich das echt gerne machen. Aber die Möglichkeit hab ich im Moment nicht und ich kann nicht mal eben noch einen Server mieten um darauf dann die Virtualisierung zu installieren.

Wenn ihr jetzt sagt meine Idee ist zwar OK und würde wohl auch funktionieren, aber aus Sicherheitsgründen ist davon dringend abzuraten dann würde ich es bleiben lassen. Für 10 Euro im Momat bekomme ich einen Hostet Exchange mit 10 Postfächern und unbegrenzt Alias und Traffic. Für die 10 Euro im Monat lohnt es sich für mich nicht ein Risiko einzugehen das mir die Kiste über kurz oder lang geknackt wird und dann komplett alles in die Hose geht.

Ansonsten hätte ich natürlich auch schon mal auf die Idee kommen können bei Hetzner zu schauen. Deren Wiki ist wirklich nicht schlecht und zu gewissen Themen kann es nicht schaden direkt den Betreiber zu Rate zu ziehen. Ich hätte z.B. nicht ohne weiteres gewusst, dass ich bei ESXi noch eine Intel Karte einbauen lassen muss. Wobei ich die 15 Euro für das Flexipack pro Monat auch schon wieder nicht wollen würde da wie gesagt der Hostet Exchange 10 kostet und nichts anderes brauch ich momentan.

Oder ich bau mir nen ITX Server der nebst SSD nur noch ca. 30-40 Watt verbraucht und mach das mit dem Server weiterhin im Haus. Das ganze gefummel macht mich langsam irre zumal ich wie gesagt am echten Host nicht mal eben irgendwas links drehen kann. Wer weiß was da noch schief geht bei der Konfig der Netzwerkkarten.

Aber jetzt les ich erst mal bisl Wiki bei Hetzner. Erst mal schau ich das ich ne zweite IP bekomme und installiert einfach zum Testen mal irgend ne virtuelle Maschine. Mal sehen wo die erste Hürde kommt wo es dann klemmt.
 
F

F4RR3LL

Active Member
Meine Meinung ist .. nimm entweder die 10 euro in die Hand für den Exchange...
oder machs mit nem Server, aber dann bitte richtig.
Du ärgerst dich schwarz wenn wegen der paar euro und eines zukünftigen Exploits der Gesamtserver verloren geht.
Wenn du derzeit aus dem Host nicht rauskommst und nen weiteren Server nicht zahlen willst, was ich verstehe.
Mach das mit den 10 euro.
Den rest kannste daheim ja für zukünftige Server nachstellen, üben, testen.

Gruß Sven

//Edit: Ich würde auf dem laufenden Hetzner Host nicht einfach mal eben rumtesten mit Virtualisierung, denn das erste was du da machen musst ist u.a den entsprechenden Kernel installieren usw. Fang nicht an den Server zuzumüllen für Tests. Wenn Du das machen willst, machs daheim oder Miete dir nen Monat lang nen billigen 20 euro Root, Synce deinen Server und spiele da.
 
Zuletzt bearbeitet:
M

M. Zink

New Member
Naja ich denke du hast recht. Nach dem ich nun verschiedene Einträge im Wiki bei Hetzner gelesen hab von wegen Kernel umbauen und KVM und das alles muss ich sagen gibt es wohl so oder so bessere Lösungen wie einfach nur Virtual Box. Das läuft zwar aber ob es wirklich als Dauerlösung für den Zweck wo ich was suche geeignet ist weiß ich nicht. Jedenfalls hast du absolut recht das ich am laufenden System was auf keinen Fall ausfallen darf nicht solche Experimente machen sollte, zumal ich mich mit Virtualisierung auf Linux Basis noch nie beschäftigt hab und wohl ohne es zu wissen ruck zuck ein Problem bekommen würde.

Allerdings ist die Idee mit dem Hosted Exchange leider auch erst mal hinfällig da der Anbieter wo ich das für 10 Euro gesehen hab jetzt ganz andere Angebote hat. Vorher konnte man 5 Postfächer anlegen oder sowas in der Art und jetzt nur noch ein einziges. Wobei aber soweit ich das sehen konnte alle bloß ein Postfach anbieten. Ich muss einfach mal schauen ob es nicht auch noch eine komplett andere Lösung gibt denn letztenendes nutze ich den Exchange auch wieder nur rein für Emails für 2 Postfächer und was der Knackpunkt ist als Sync für mein Smartphone um Termine und das alles aktuell zu halten. Ich hab keine Ahnung ob ich das auch anders hin bekomme ohne per Kabel an dem PC zu müssen denn das ist total praktisch wenn man unterwegs nen Termin einträgt und der sofort in Outlook zu finden ist.
 
L

Laubie

Member
hmm..
also wenn der Exchange-dings schon nur 10€ gekostet hätte, und du noch ne Server-Lizenz für 2008-Server hast,
dann miete dir doch nen gaaanz kleinen Server...
Ich kenn jetzt die Hetzner-Preise nicht aber bei OVH fängt das bei 12€ an für nen RPS 1 (ohne Festplatte - mit nem NAS-Speicher) oder 15€ für den kleinsten ISGENUG.

Da kannste dann dein Win2k8-Server drauf installieren lassen und fertig.

Grüße
Laubie
 
M

M. Zink

New Member
Ich hab da jetzt ne viel geilere Lösung gefunden. Kann zwar noch nicht sagen wie es in der Praxis aussieht aber in der Theorie und laut Testberichten und alles eine absolut super Lösung. Und zwar baue ich mir einen neuen lokalen Server. Der Hauptgrund wieso ich den jetzigen Server nicht mehr weiter betreiben möchte ist zum einen das der zwischen 220 und 290 Watt zieht und dadurch bei 24/7 Betrieb auf ca. 40 Euro pro Monat an Stromkosten kommt und aufgrund der Architektur kosten mich 3 neue Festplatten die dringend nötig wären ca. 360 Euro. Da hab ich jetzt ne bessere Lösung gefunden.

Und zwar baue ich mir einen ganz einfachen ITX Server. Hab mir da jetzt Hardware raus gesucht die genau in dem Aufbau wie ich es vor habe mit 22 bis 28 Watt aus kommt also mit fast genau einem 10tel. Das heißt jeden Monat spare ich ca. 36 Euro. Sollte sich rausstellen, dass die Leistungsanforderung von Exchange doch zu hoch ist kann ich den immer noch für irgendwas verwenden und nach ner Lösung schauen. Aber fürs erste fällt der hohe Stromverbrauch mal weg.

Falls jemand Interesse daran hat hier die Hardware Konfiguration.
Intel D510MO mit 4 GB Kingston Ram Kit, 2 2,5Zoll Western Digital Blue nebst Einbaukit und einem Thermaltake Element Q als Gehäuse. Ich würde meinen etwa vergleichbar mit dem virtuellen Server den ich vor hatte aufzusetzen mit dem Unterschied das er weiterhin bei mir im Büro steht und kaum Kosten mit sich bringt.

Im Übrigen kann ich so ein Gerät nur jedem empfehlen der keine großartigen Spiele spielt oder so. Das Board ohne Festplatten verbraucht bei Volllast laut Testberichten 18 Watt. Kann ich zwar kaum glauben weil das is echt unglaublich wenig aber wenn mehrere Tests das bestätigen wird es schon stimmen.
 
M

M. Zink

New Member
Also falls auch mal jemand die Idee hat einen Windows Server auf einem Webserver zu installieren. Es funktioniert aber ist mit Sicherheit eine der schlechtesten Lösungen um einen Server zu betreiben. Ich hatte die letzten Tage die Möglichkeit auf einem anderen Root Server eines Bekannten sowas zu testen. Mit Virtual Box war das Installieren kein Thema und der Server lief auch recht gut. Zumindest bis zu dem Punkt als ich dann angefangen habe ein paar Dienste zu installieren. Und als der Exchange dann drauf war ging gar nichts mehr. Windows Server 2008 plus Exchange 2010 braucht echt unglaublich viel Speicher und auch genug Leistung. Man kann so ein System virtualisieren aber auf keinen Fall mit Virtual Box.

Die Lösung die ich jetzt habe in Form eines ganz kleinen ITX Servers ist dagegen viel besser. Habe den D510MO drin mit 4 GB Ram und 2x128GB SSD und das geht richtig ab. Die SSD bringen im Energieverbrauch noch mal gute 10 Watt weniger und in Leistungsgrenzen helfen sie auch da das Auslagern viel schneller klappt. Gesamtverbrauch liegt im Leerlauf bei ca. 16 Watt mit Beleuchtung und ohne Lüftersteuerung und bei 12 Watt ohne. Bei Vollauslastung bewegen wir uns bei 25-28 Watt und selten mal bei knapp über 30. Man vergleiche mal das ganze mit einer normalen 60 Watt Glühbirne. Das ist das Doppelte!

Falls mal jemand Fragen zu dem Thema hat einfach melden.
 
F

F4RR3LL

Active Member
Was ist denn mit den Anschaffungskosten. Die müssen doch auch in die Berechnung einfließen.
Dazu dann der Strom. Evtl Ausfall von Hardware.
Was ist mit USV? Feste IP, ReverseDNS.
Ich weiß ned ... ich finde es natürlich interessant so eine Kiste unterm Tisch oder sonstwo im Haus zu haben.
Aber auch da fallen ja mehr Kosten als der Strom an.
 
M

M. Zink

New Member
@Burge
Welche Infos genau brauchst du denn? Welche Hardware oder wie die Installation funktioniert?

@F4RR3LL
Also eine USV brauch ich privat nicht. Wir hatten in den letzten 12 Jahren genau einen Stromausfall und ich hab meinen Windows Server schon mehrmals versehentlich aus geschaltet und das hat dem noch nie was gemacht. Bei SSD's fällt z.B. auch die Sache mit dem Schreib/Lesekopf weg bei einem Stromausfall.
Feste IP hängt vom DSL Anbieter ab. Wobei ich bezweifle das so ein Server einen Webserver voll ersetzen kann. Lass dir mal zuhause eine Leitung legen mit der Geschwindigkeit wie ein Rechenzentrum da fallen dir die Augen raus wie teuer sowas sein kann. Aber ne feste IP um grundsätzlich von draußen dran zu kommen ist kein Thema hab ich bei meinem Anschluss auch.
Reverse DNS bzw. auch Nameserver Auflösung ist natürlich auch nicht so ganz easy aber auf der anderen Seite muss man dann mal schauen was man mit der Kiste vor hat.

Grundsätzlich sage ich nicht das meine Kiste ein Ersatz für jegliche Form von Server ist. Aber wenn jemand einen Webserver betreibt und eine 1:1 Kopie davon haben möchte um irgendwelche Installationen zu testen oder sonst was in der Richtung ist so ein Server genau richtig. Auch wenn man einen Fileserver zuhause möchte oder wie in meinem Fall einen Windows Server mit Exchange bietet sich sowas absolut an. In einem 500 Man Unternehmen wo es auf extreme Geschwindigkeit ankommt und möglichst hohe Ausfallsicherheit ist das natürlich auch die absolut falsch Wahl. Aber für private Einsatzzwecke oder auch kleine Unternehmen bis sagen wir 5 Mitarbeiter ist so ein Teil einfach gut!

Zum Thema Kosten mal folgende Beispielrechnung.

Anschaffungskosten für die Hardware ca. 250 Euro (mit SSD deutlich teurer)
Bei 24/7 Betrieb und bei 25 Watt durchschnittlichem Verbrauch fallen pro Monat etwa 18 Kilowatt an und bei 20 Cent pro KW sind das 3,60 Euro Stromkosten.
Der DSL Anschluss ist eh vorhanden aber wenn wir den mit einrechnen sagen wir 30 Euro pro Monat.

Im ersten Jahr kostet der Server also mit diesen Kosten 653,20 Euro.

Ein Dell PowerEdge wie ich ihn (noch) hier stehen habe hat in der Anschaffung etwa 4000 Euro gekostet (Lizenz schon abgezogen). Der verbraucht im Durchschnitt 250 Watt also glatt das 10 Fache. Macht 36 Euro pro Monat an Strom. Die Kosten für den DSL sind gleich also 30 pro Monat.

Die Variante kostet somit im ersten Jahr 4792 Euro.

Die Einsparung alleine nur am Strom macht im Jahr 388,80 Euro aus. Das heißt die Einsparung im ersten Jahr nur an Strom deckt schon die Kosten für den Miniserver und noch eine gute SSD extra dazu. Im zweiten Jahr spare ich also egal wie ich rechner auf jeden Fall Geld. Die Anschaffungskosten für so einen teuren Server mal garnicht mit gerechnet.

Und in meinem speziellen Fall ging es eben um den Exchange. Ein Exchange im Web als Mietlösung (Hostet Exchange) kostet egal wie man es dreht und wendet etwa 15 Euro wenn man einen anständigen Anbieter möchte. Also alleine an monatlichen Kosten schon über 10 Euro mehr wie der Miniserver. DSL darf man nicht rechnen weil den hab ich eh und die Lizenz für den Server muss man berücksichtigen aber als SBS Lösung kostet die auch nicht so viel. Auf zwei Jahre gerechnet spare ich egal was ich anstelle auf jeden Fall.

Zu Testzwecken hab ich im Übrigen jetzt ein baugleiches Gerät gebaut nur mit dem Mainboard von Zotac bei dem auch ein HDMI Port und so mit bei ist. Das ganze dann als Mediacenter mit 1 TB HDD von WD und mit BluRay Laufwerk. Das Mediacenter von Microsoft läuft einwandfrei und es funktioniert restlos alles so wie ich das haben will. Also selbst für den Zweck lässt sich unter 400 Euro ein Mediacenter inkl. Win 7 Lizenz bauen. Und mehr Leistung ist einfach nicht nötig.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.

Werbung

Top